safe-repo

安全なリポジトリチェック

コンテキスト

リポジトリ内の機密データをセキュリティ監査します。認証情報、API キー、会社固有の情報、個人を特定できる情報（PII）をチェックします。

モード

• デフォルト（full-scan）：Git で追跡されているすべてのファイルと履歴をスキャンします。定期監査や初回のリポジトリレビューに使用します。
• --diff [<base>]：変更された内容のみをスキャンします。ブランチで <base> 以降に作成されたコミットに加え、ステージ済みおよび未ステージの変更が対象です。<base> を指定しない場合は、ステージ済みおよび未ステージの変更のみが対象です。コミット前、review から、または to-pr --safe から使用します。高速で、既存ファイルによる誤検出はありません。

ワークフロー

デフォルト（full-scan）

1. bash ${CLAUDE_SKILL_DIR}/scripts/scan-secrets.sh を実行し、追跡対象のすべてのファイルで認証情報のパターンをスキャンします
2. ファイル名から機密性の高い追跡対象ファイルを確認します：.env*（.env.example を除く）、*.pem、*.key、*_rsa*、*secret*、*credential*
3. Git 履歴を調べ、削除されたシークレットを確認します：git log --all --full-history -- "*.env" "*.pem" "*.key" "*secret*" "*credential*"
4. .gitignore に適切なパターンが設定されていることを確認します
5. 検出結果を報告します（assets/report-template.md を参照）

--diff モード

1. 変更ファイルを特定します：ベースが指定されている場合は git diff --name-only <base>...HEAD を実行し、さらに git diff --name-only HEAD と git diff --name-only --cached の結果を加えます
2. ${CLAUDE_SKILL_DIR}/scripts/scan-secrets.sh 内の正規表現を使って、該当ファイルのみをスキャンします（正規表現を直接 grep します）。上記のファイル名チェックも行います
3. 履歴の分析は省略します（進行中の変更には関係ありません）
4. 変更ファイルのみを対象として検出結果を報告します

ルール

• Git で追跡されているファイルのみをチェックします（git ls-files）。ローカル設定は無視します
• 現在追跡されているファイルと Git 履歴の両方をチェックします
• 誤検出を除外します：圧縮された JavaScript、node_modules、テスト用フィクスチャ、ドキュメント
• .gitignore が機密情報のパターンを網羅していることを確認します
• シークレットを含む追跡対象ファイルと、該当する過去のコミットを報告します
• レポートに実際のシークレット値を出力しないでください

エラー処理

• Git 履歴のスキャンに時間がかかる場合は、直近の 100 件のコミットに範囲を限定します：git log --oneline -100